Fluxo guiado de configuração de Google Cloud

Um recurso de organização no Google Cloud representa a sua empresa e serve como o nó de nível superior da sua hierarquia. Para criar a sua organização, configura um serviço de identidade Google e associa-o ao seu domínio. Quando conclui este processo, é criado automaticamente um recurso de organização.

Para uma vista geral do recurso organization, consulte o seguinte:

• Faça a gestão dos recursos da organização.
• Práticas recomendadas para o planeamento de contas e organizações.

Quem realiza esta tarefa

Os dois administradores seguintes realizam esta tarefa:

• Um administrador de identidade responsável pela atribuição de acesso baseado em funções. Atribui esta pessoa como superadministrador do Cloud Identity. Para mais informações sobre o utilizador superadministrador, consulte o artigo Funções de administrador pré-criadas.

• Um administrador de domínio com acesso ao anfitrião de domínio da empresa. Esta pessoa edita as definições do seu domínio, como as configurações de DNS, como parte do processo de validação do domínio.

O que faz nesta tarefa

• Se ainda não o fez, configure o Cloud Identity, onde cria uma conta de utilizador gerida para o utilizador superadministrador.
• Associe o Cloud ID ao seu domínio (como example.com).
• Valide o seu domínio. Este processo cria o nó de raiz da hierarquia de recursos, conhecido como o recurso da organização.

Por que motivo recomendamos esta tarefa

Tem de configurar o seguinte como parte da sua Google Cloud base:

• Um serviço de identidade da Google para gerir identidades de forma centralizada.
• Um recurso de organização para estabelecer a raiz da sua hierarquia e controlo de acesso.

Opções do serviço de identidade Google

Utiliza um ou ambos os seguintes serviços de identidade Google para administrar credenciais para Google Cloud utilizadores:

• Cloud ID: gere utilizadores e grupos de forma centralizada. Pode federar identidades entre a Google e outros fornecedores de identidade. Para mais informações, consulte o artigo Vista geral do Cloud Identity.
• Google Workspace: gere utilizadores e grupos, e fornece acesso a produtos de produtividade e colaboração, como o Gmail e o Google Drive. Para mais informações, consulte o Google Workspace.

Para ver informações detalhadas sobre o planeamento de identidades, consulte o artigo Planeamento do processo de integração para as identidades corporativas.

Antes de começar

Para saber como gerir uma conta de superadministrador, consulte o artigo Práticas recomendadas para contas de superadministrador.

Configure um Fornecedor de identidade e valide o seu domínio

Os passos que conclui nesta tarefa dependem de ser um cliente novo ou existente. Identifique a opção que se adequa às suas necessidades:

• Novo cliente: configure o Cloud ID, valide o seu domínio e crie a sua organização.

• Cliente existente do Google Workspace: use o Google Workspace como o seu fornecedor de identidade para utilizadores que acedem ao Google Workspace e Google Cloud. Se planeia criar utilizadores que só acedem ao Google Cloud, ative o Cloud ID.

• Cliente existente do Cloud ID: valide o seu domínio, certifique-se de que a sua organização foi criada e confirme que o Cloud ID está ativado.

O que se segue?

Crie grupos e adicione membros.

Nesta tarefa, configura identidades, utilizadores e grupos para gerir o acesso aos Google Cloud recursos.

Para mais informações sobre a gestão de acessos no Google Cloud, consulte o seguinte:

• Vista geral da gestão de identidade e de acesso (IAM).
• Para ver as práticas recomendadas, consulte o artigo Use o IAM em segurança.

Quem realiza esta tarefa

Pode realizar esta tarefa se tiver um dos seguintes elementos:

• O superadministrador do Google Workspace ou Cloud ID que criou na tarefa Organização.
• Uma das seguintes funções de IAM:
  • Administrador da organização (roles/resourcemanager.organizationAdmin).
  • Administrador do conjunto de identidades de trabalhadores (roles/iam.workforcePoolAdmin).

O que faz nesta tarefa

• Estabeleça ligação ao Cloud ID ou ao seu fornecedor de identidade (IdP) externo.

• Crie grupos administrativos e utilizadores que vão realizar os restantesGoogle Cloud passos de configuração. Concede acesso a estes grupos numa tarefa posterior.

Por que motivo recomendamos esta tarefa

Esta tarefa ajuda a implementar as seguintes práticas recomendadas de segurança:

• Princípio do menor privilégio: conceda aos utilizadores as autorizações mínimas necessárias para desempenharem a respetiva função e remova o acesso assim que deixar de ser necessário.

• Controlo de acesso baseado em funções (RBAC): atribua autorizações a grupos de utilizadores de acordo com a respetiva função profissional. Não adicione autorizações a contas de utilizador individuais.

Pode usar grupos para aplicar funções de IAM de forma eficiente a uma coleção de utilizadores. Esta prática ajuda a simplificar a gestão do acesso.

Selecione um fornecedor de identidade

Pode usar um dos seguintes métodos para gerir utilizadores e grupos, e associá-los ao Google Cloud:

• Google Workspace ou Cloud ID: cria e gere utilizadores e grupos no Google Workspace ou Cloud ID. Pode optar por sincronizar com o seu fornecedor de identidade externo mais tarde.
• O seu fornecedor de identidade externo, como o Microsoft Entra ID ou o Okta: cria e gere utilizadores e grupos no seu fornecedor de identidade externo. Em seguida, associa o seu fornecedor ao Google Cloud para ativar o início de sessão único.

Para selecionar o seu fornecedor de identidade, faça o seguinte:

1. Inicie sessão na Google Cloud consola como um dos utilizadores que identificou em Quem realiza esta tarefa.

2. Aceda a Google Cloud Configuração: utilizadores e grupos.

   Aceda a Utilizadores e grupos

3. Reveja os detalhes da tarefa e clique em Continuar configuração de identidade.

4. Na página Selecione o seu fornecedor de identidade, selecione uma das seguintes opções para iniciar uma configuração guiada:

   • Use o Google para gerir os Google Cloud utilizadores de forma centralizada: use o Google Workspace ou o Cloud ID para aprovisionar e gerir utilizadores e grupos como superadministrador do seu domínio validado. Pode sincronizar posteriormente com o seu fornecedor de identidade externo.
   • Microsoft Entra ID (Azure AD): use o OpenID Connect para configurar uma ligação ao Microsoft Entra ID.
   • Okta: use o OpenID Connect para configurar uma ligação à Okta.
   • OpenID Connect: use o protocolo OpenID para estabelecer ligação a um fornecedor de identidade compatível.
   • SAML: use o protocolo SAML para estabelecer ligação a um fornecedor de identidade compatível.
   • Ignorar a configuração de um IdP externo por agora: se tiver um fornecedor de identidade externo e não tiver tudo pronto para o associar ao Google Cloud, pode criar utilizadores e grupos no Google Workspace ou no Cloud ID.

5. Clique em Continuar.

6. Consulte uma das seguintes opções para conhecer os passos seguintes:

   • Crie utilizadores e grupos no Cloud Identity
   • Associe o seu fornecedor de identidade externo ao Google Cloud

Crie utilizadores e grupos no Cloud ID

Se não tiver um fornecedor de identidade existente ou não estiver pronto para associar o seu fornecedor de identidade ao Google Cloud, pode criar e gerir utilizadores e grupos no Cloud Identity ou Google Workspace. Para criar utilizadores e grupos, faça o seguinte:

• Crie um grupo para cada função administrativa recomendada, incluindo organização, faturação e administração da rede.
• Crie contas de utilizador gerido para administradores.
• Atribua utilizadores a grupos administrativos que correspondam às respetivas responsabilidades.

Antes de começar

• Encontre e migre utilizadores que já tenham Contas Google. Para obter informações detalhadas, consulte o artigo Adicione utilizadores com contas não geridas.

• Tem de ser um superadministrador.

Crie grupos administrativos

Um grupo é uma coleção com nome de Contas Google e contas de serviço. Cada grupo tem um endereço de email exclusivo, como gcp-billing-admins@example.com. Crie grupos para gerir utilizadores e aplicar funções da IAM em grande escala.

Os seguintes grupos são recomendados para ajudar a administrar as funções principais da sua organização e concluir o Google Cloud processo de configuração.

Para criar grupos administrativos, faça o seguinte:

1. Selecione a Google como fornecedor.

2. Na página Criar grupos, reveja a lista de grupos administrativos recomendados e, em seguida, realize uma das seguintes ações:

   • Para criar todos os grupos recomendados, clique em Criar todos os grupos.
   • Se quiser criar um subconjunto dos grupos recomendados, clique em Criar nas linhas escolhidas.

3. Clique em Continuar.

Crie utilizadores administrativos

Recomendamos que adicione inicialmente utilizadores que concluam procedimentos organizacionais, de rede, de faturação e outros procedimentos de configuração. Pode adicionar outros utilizadores depois de concluir o Google Cloud processo de configuração.

Para adicionar utilizadores administrativos que realizam Google Cloud tarefas de configuração, faça o seguinte:

1. Migre contas de consumidor para contas de utilizador geridas controladas pelo Cloud Identity. Para ver passos detalhados, consulte o seguinte:

   • Migrar contas de consumidor.
   • Adicione utilizadores com contas não geridas.

2. Inicie sessão na consola do administrador Google com uma conta de superadministrador.

3. Use uma das seguintes opções para adicionar utilizadores:

   • Para adicionar utilizadores em massa, consulte o artigo Adicione ou atualize vários utilizadores a partir de um ficheiro CSV.
   • Para adicionar utilizadores individualmente, consulte o artigo Adicione uma conta para um novo utilizador.

4. Quando terminar de adicionar utilizadores, regresse a Google Cloud Configuração: utilizadores e grupos (criar utilizadores).

5. Clique em Continuar.

Adicione utilizadores administrativos a grupos

Adicione os utilizadores que criou a grupos administrativos que correspondam às respetivas funções.

1. Certifique-se de que criou utilizadores administrativos.

2. Em Google Cloud Configuração: utilizadores e grupos (adicione utilizadores a grupos), reveja os detalhes do passo.

3. Em cada linha Grupo, faça o seguinte:

   1. Clique em Adicionar membros.
   2. Introduza o endereço de email do utilizador.

   3. Na lista pendente Função do grupo, selecione as definições de autorização do grupo do utilizador. Para mais informações, consulte o artigo Defina quem pode ver, publicar e moderar.

      Cada membro herda todas as funções da IAM que atribui a um grupo, independentemente da função do grupo que selecionar.

   4. Para adicionar outro utilizador a este grupo, clique em Adicionar outro membro e repita estes passos. Recomendamos que adicione mais do que um membro a cada grupo.

   5. Quando terminar de adicionar utilizadores a este grupo, clique em Guardar.

4. Quando terminar com todos os grupos, clique em Confirmar utilizadores e grupos.

5. Se quiser federar o seu Fornecedor de identidade no Google Cloud, consulte o seguinte:

   • Arquiteturas de referência: usar um IdP externo.
   • Para aprovisionar automaticamente utilizadores e ativar o início de sessão único, consulte o seguinte:
     • Federe o Cloud ID com o Active Directory.
     • Federe o Cloud ID com o Microsoft Entra ID.
   • Para sincronizar utilizadores e grupos do Active Directory com o Google Cloud, use a Sincronização de diretórios ou a Sincronização de diretórios do Google Cloud.
     • Para uma comparação, consulte o artigo Compare a Sincronização de diretórios com a GCDS.

Associe o seu Fornecedor de identidade externo a Google Cloud

Pode usar o seu fornecedor de identidade existente para criar e gerir grupos e utilizadores. Configura o Início de sessão único Google Cloud configurando a federação de identidade da força de trabalho com o seu Fornecedor de identidade externo. Para ver os conceitos principais deste processo, consulte o artigo Federação de identidade da força de trabalho.

Para associar o seu fornecedor de identidade externo, conclui uma configuração guiada que inclui os seguintes passos:

1. Crie um conjunto de trabalhadores: um Workload Identity Pool ajuda a gerir identidades e o respetivo acesso a recursos. Introduza os seguintes detalhes num formato legível por humanos.
   • ID do conjunto de trabalhadores: um identificador globalmente exclusivo usado na IAM.
   • ID do fornecedor: um nome para o seu fornecedor, que os utilizadores vão especificar quando iniciarem sessão no Google Cloud.
2. Configure Google Cloud no seu fornecedor: a configuração guiada inclui passos específicos para o seu fornecedor.
3. Introduza os detalhes do workforce pool do seu fornecedor: para adicionar o seu fornecedor como uma autoridade fidedigna para afirmar identidades, obtenha os detalhes do seu fornecedor e adicione-os a Google Cloud:
4. Configure um conjunto inicial de grupos administrativos: a configuração guiada inclui passos específicos para o seu fornecedor. Atribui grupos no seu fornecedor e estabelece uma ligação a Google Cloud. Para uma descrição detalhada de cada grupo, consulte o artigo Crie grupos administrativos.
5. Atribua utilizadores a cada grupo: recomendamos que atribua mais do que um utilizador a cada grupo.

Para ver informações gerais sobre o processo de associação de cada fornecedor, consulte o seguinte:

• Configure a federação de identidades da força de trabalho com o Azure AD e inicie sessão como utilizador.
• Configure a Workforce Identity Federation com o Okta e inicie sessão nos utilizadores
• Para outros fornecedores que suportam OIDC ou SAML, consulte o artigo Configure a federação de identidades da força de trabalho

O que se segue?

Atribuir autorizações aos seus grupos de administradores.

Nesta tarefa, vai usar a gestão de identidades e acessos (IAM) para atribuir conjuntos de autorizações a grupos de administradores ao nível da organização. Este processo dá aos administradores visibilidade e controlo centralizados sobre todos os recursos da nuvem que pertencem à sua organização.

Para uma vista geral do Identity and Access Management no Google Cloud, consulte a vista geral do IAM.

Quem realiza esta tarefa

Para realizar esta tarefa, tem de ser uma das seguintes opções:

• Um utilizador superadministrador.
• Um utilizador com a função de administrador da organização (roles/resourcemanager.organizationAdmin).

O que faz nesta tarefa

• Reveja uma lista de funções predefinidas atribuídas a cada grupo de administradores que criou na tarefa Utilizadores e grupos.

• Se quiser personalizar um grupo, pode fazer o seguinte:

  • Adicione ou remova funções.
  • Se não planeia usar um grupo, pode eliminá-lo.

Por que motivo recomendamos esta tarefa

Tem de conceder explicitamente todas as funções administrativas da sua organização. Esta tarefa ajuda a implementar as seguintes práticas recomendadas de segurança:

• Princípio do menor privilégio: conceda aos utilizadores as autorizações mínimas necessárias para desempenharem as respetivas funções e remova o acesso assim que deixar de ser necessário.

• Controlo de acesso baseado em funções (RBAC): atribua autorizações a grupos de utilizadores de acordo com as respetivas funções. Não conceda funções a contas de utilizadores individuais.

Antes de começar

Conclua as seguintes tarefas:

• Crie um utilizador superadministrador e a sua organização na tarefa Organização.
• Adicione utilizadores e crie grupos na tarefa Utilizadores e grupos.

Conceda acesso a grupos de administradores

Para conceder o acesso adequado a cada grupo de administradores que criou na tarefa Utilizadores e grupos, reveja as funções predefinidas que são atribuídas a cada grupo. Pode adicionar ou remover funções para personalizar o acesso de cada grupo.

1. Certifique-se de que tem sessão iniciada na Google Cloud consola como utilizador superadministrador.

   Em alternativa, pode iniciar sessão como um utilizador com a função de administrador da organização (roles/resourcemanager.organizationAdmin).

2. Aceda a Google Cloud Configuração: acesso administrativo.

   Aceda a Acesso administrativo

3. Selecione o nome da sua organização na lista pendente Selecionar de na parte superior da página.

4. Reveja a vista geral da tarefa e clique em Continuar acesso administrativo.

5. Reveja os grupos na coluna Grupo (principal) que criou na tarefa Utilizadores e grupos.

6. Para cada grupo, reveja as funções de IAM predefinidas. Pode adicionar ou remover funções atribuídas a cada grupo para se adequarem às necessidades únicas da sua organização.

   Cada função contém várias autorizações que permitem aos utilizadores realizar tarefas relevantes. Para mais informações sobre as autorizações em cada função, consulte a referência de funções básicas e predefinidas de IAM.

7. Quando tiver tudo pronto para atribuir funções a cada grupo, clique em Guardar e conceder acesso.

O que se segue?

Configure a faturação.

Nesta tarefa, configura uma conta de faturação para pagar os Google Cloud recursos. Para o fazer, associa uma das seguintes opções à sua organização.

• Uma conta do Cloud Billing existente. Se não tiver acesso à conta, pode solicitá-lo ao administrador da conta de faturação.

• Uma nova conta do Cloud Billing.

Para mais informações sobre a faturação, consulte a documentação da Faturação do Google Cloud.

Quem realiza esta tarefa

Uma pessoa no gcp-billing-admins@YOUR_DOMAIN grupo que criou na tarefa Utilizadores e grupos.

O que faz nesta tarefa

• Crie ou use uma conta do Cloud Billing autónoma existente.
• Decidir se quer fazer a transição de uma conta autónoma para uma conta com faturação.
• Configure uma conta do Cloud Billing e um método de pagamento.

Por que motivo recomendamos esta tarefa

As contas do Cloud Billing estão associadas a um ou mais Google Cloud projetos e são usadas para pagar os recursos que usa, como máquinas virtuais, rede e armazenamento.

Determine o tipo de conta de faturação

A conta de faturação que associa à sua organização é de um dos seguintes tipos.

• Autónomo (ou online): inscreva-se online através de um cartão de crédito ou débito. Recomendamos esta opção se for uma pequena empresa ou um indivíduo. Quando se inscreve online numa conta de faturação, a sua conta é configurada automaticamente como uma conta de autosserviço.

• Faturada (ou offline). Se já tiver uma conta de faturação autónoma, pode ser elegível para se candidatar à faturação faturada se a sua empresa cumprir os requisitos de elegibilidade.

Não pode criar uma conta faturada online, mas pode candidatar-se à conversão de uma conta de autosserviço numa conta faturada.

Para mais informações, consulte o artigo Tipos de contas do Cloud Billing.

Antes de começar

Conclua as seguintes tarefas:

• Crie um utilizador superadministrador e a sua organização na tarefa Organização.
• Adicione utilizadores e crie grupos na tarefa Utilizadores e grupos.
• Atribua funções do IAM a grupos na tarefa Acesso administrativo.

Configure a conta de faturação

Agora que escolheu um tipo de conta de faturação, associe a conta de faturação à sua organização. Quando concluir este processo, pode usar a sua conta de faturação para pagar os Google Cloud recursos.

1. Inicie sessão na Google Cloud consola como um utilizador do grupo gcp-billing-admins@YOUR_DOMAIN.

2. Aceda a Google Cloud Configuração: Faturação.

   Aceder a Faturação

3. Reveja a vista geral da tarefa e, de seguida, clique em Continuar faturação.

4. Selecione uma das seguintes opções de conta de faturação:

   Criar uma nova conta

   Se a sua organização não tiver uma conta, crie uma nova.

   1. Selecione Quero criar uma nova conta de faturação.
   2. Clique em Continuar.

   3. Selecione o tipo de conta de faturação que quer criar. Para ver passos detalhados, consulte o seguinte:

      • Para criar uma nova conta autónoma, consulte o artigo Crie uma nova conta de faturação do Google Cloud autónoma.
      • Para fazer a transição de uma conta de autosserviço existente para a faturação com fatura, consulte o artigo Candidate-se à faturação mensal.

   4. Confirme que a sua conta de faturação foi criada: